Eine Phishing-Mail, die einen angeblichen Kauf bei einem bekannten Reifenhändler vortäuscht, zeigt eine technisch bemerkenswerte Vorgehensweise: Der als PDF-Rechnung getarnte Anhang war tatsächlich eine Verknüpfungsdatei, die eine Verbindung zu einem fremden Server aufbauen sollte.
Warum gefälschte Rechnungen so wirksam sind
Eine Rechnung über einen Kauf, an den man sich nicht erinnert, erzeugt zwei Reflexe gleichzeitig: den Verdacht, betrogen worden zu sein, und den Wunsch, das sofort zu klären. Beides führt dazu, dass der Anhang geöffnet wird, bevor die Plausibilität geprüft wurde.
Für Onlinehändler ist die Trefferwahrscheinlichkeit besonders hoch, weil im Geschäftsalltag ohnehin täglich Rechnungen eingehen und mehrere Personen Zugriff auf dasselbe Postfach haben.
Die Prüfreihenfolge
- Kenne ich den Vorgang? Bei einem angeblichen Kauf, der nie stattfand, ist die Sache bereits entschieden.
- Passt die Absenderadresse zur Domain des Unternehmens? Ähnliche, aber nicht identische Domains sind ein klares Warnsignal.
- Welche Dateiendung hat der Anhang wirklich? Erwartet wird PDF. Archive, Skripte oder Verknüpfungen sind verdächtig.
- Steht der Inhalt in der Mail oder nur im Anhang? Echte Rechnungsmails nennen Betrag und Bestellnummer im Text.
- Werde ich zur Eile gedrängt? Mahnungen mit sehr kurzer Frist bei unbekanntem Vorgang sind fast immer gefälscht.
Organisatorische Absicherung
Technische Filter fangen einen Teil ab, aber nicht alles. Wirksamer ist eine klare interne Regel: Rechnungen werden ausschließlich anhand des eigenen Bestellvorgangs geprüft, nicht anhand der Mail. Wer keine Bestellung findet, öffnet den Anhang nicht.
Ergänzend hilft eine Vier-Augen-Regel bei Zahlungsfreigaben. Ein erheblicher Teil des Schadens bei solchen Angriffen entsteht nicht durch Schadsoftware, sondern durch überwiesene Beträge auf ein fremdes Konto.
Meldewege nutzen
Verdächtige Nachrichten lassen sich an die Verbraucherzentrale und an das Bundesamt für Sicherheit in der Informationstechnik melden. Bei einem tatsächlichen Schaden gehört zusätzlich eine Anzeige bei der Polizei dazu, allein schon für die spätere Geltendmachung gegenüber Versicherungen.
Wer im Unternehmen mehrere Personen am Postfach hat, sollte solche Fälle intern teilen. Angriffswellen laufen selten gegen einen einzelnen Empfänger, und eine kurze Warnung im Team verhindert erfahrungsgemäß mehr als jede Schulung im Nachhinein.
Warum technische Filter allein nicht reichen
Spamfilter erkennen bekannte Muster. Gezielte Angriffe auf einzelne Unternehmen verwenden aber häufig neu registrierte Domains und individuell formulierte Texte, die noch in keiner Filterliste stehen. Der Schutz muss deshalb beim Menschen ansetzen, nicht nur beim System.
Wirksam ist eine einfache Regel, die jeder im Team kennt: Bei jeder Rechnung, die nicht eindeutig einem eigenen Bestellvorgang zuzuordnen ist, wird nicht der Anhang geöffnet, sondern zuerst in der eigenen Warenwirtschaft nachgesehen. Diese Reihenfolge kostet dreißig Sekunden und verhindert praktisch alle Fälle dieser Art.
Was Sie technisch trotzdem tun können
Drei Einstellungen senken das Risiko spürbar. Die Anzeige von Dateiendungen im Betriebssystem aktivieren, damit getarnte Dateien auffallen. Makros in Office-Dokumenten aus dem Internet standardmäßig blockieren. Und eine Warnmarkierung für alle E-Mails aus externen Quellen einrichten, sofern Ihr Mailsystem das unterstützt.
Keine dieser Maßnahmen ist aufwendig, alle drei zusammen fangen einen erheblichen Teil der gängigen Angriffe ab, bevor eine Entscheidung durch einen Menschen nötig wird.